Come si vive quando si è incubati all’interno di un social network? cosa si viene a sapere, e cosa invece si ignora della vita reale? Un ragazzo che passa la sua vita connesso, riuscirà a venire a conoscenza di ciò che accade nel mondo se lo guarda solo attraverso gli occhi dei social media? E’ quello che scopriremo, avendo seguito per una settimana il mondo in cui questi tre “contenitori” online gestiscono l’informazione.

Per il nostro test, abbiamo osservato gli avvenimenti per una settimana, quella della metà aprile 2018.

Come si vive in Facebook? tra news e tormentoni

Un ragazzo che decidesse di utilizzare Facebook come primaria fonte di informazione si troverebbe, in una settimana, a venire a conoscenza di molta cronaca sportiva, qualche cenno di cronaca internazionale e costume a non finire. La vittoria della Roma contro il Barcellona è stata la notizia più ricorrente nonostante l’unicità dell’incontro. Moltissimi sono stati i commenti sia da parte dei tifosi della squadra e da estimatori di altre squadre ma anche da parte di persone che non seguono il calcio. La copertura mediatica è stata molto ampia grazie ad una grande quantità di foto e video pubblicati.

Anche l’attacco in Siria è stata una delle notizie più ricorrenti nel flusso di informazioni di Facebook, accompagnata da una forte reazione degli utenti: il numero di commenti sotto questi post è stato altissimo e caratterizzato da profusa preoccupazione per ciò che avrebbe riguardato le basi americane in Italia. E’ stata discussa anche la possibilità di un intervento italiano ed è stato possibile notare come non molti fossero a conoscenza dell’articolo 10 della Costituzione: molte, in questo caso le immagini pubblicate.

Una notizia di nicchia che ha attirato molto l’attenzione in quanto a condivisioni ma poco in fatto di commenti è stata l’aurora boreale nell’emisfero nord: un’interesse fomentato da uno stupendo video dell’evento. Tra le notizie più presenti nel feed di Facebook vi sono state senza dubbio le consultazioni elettorali ed il ruolo da protagonista di Silvio Berlusconi nonostante la sua ineleggibilità. In questo caso i commenti sono stati moltissimi ed incivili, accompagnati spesso da meme riguardanti il politico.

Passando a temi decisemente più leggeri, anche il Serale Amici di Maria De Filippi ha conquistato il suo spazio all’interno delle notizie presentate da Facebook accompagnati dalla partecipazione di Beyoncè al festival di musica californiano del Coachella ed ai mondiali di Calcio delle donne. In questi casi i commenti riguardavano principalmente il gradimento dei vari protagonisti. Outsider la notizia dell’aumento di vendita di sex toys, spesso fonte di ilarità nei commenti.

E’ importante sottolineare che queste sono le notizie riproposte dall’algoritmo di Facebook più volte durante la settimana: in alcuni casi lo stesso articolo letto la prima volta, in altri casi, come giusto aspettarsi, aggiornamenti dello stesso soprattutto per ciò che concerne notizie di cronaca internazionale e la politica.

In qualche modo, nonostante l’influenza derivante dall’utente “lettore”, Facebook dimostra di essere il social media con maggiore attenzione ed attinenza a ciò che succede nel mondo: riuscire a rimanere informati, seppure non in maniera completa, non risulta essere difficile per un 17enne che non ha accesso ad altre fonti di informazione se non i social network. Ovviamente la qualità delle notizie non è sempre eccelsa, ma dovendo valutare Facebook in una scala di accuratezza e completezza, esso raggiungerebbe senza molti problemi uno stabile 7,5. I margini di miglioramento in tal senso sono presenti, ovviamente: al ragazzo basterebbe selezionare, al momento della lettura, di voler vedere più post simili a quelli di informazione che sta leggendo.

Twitter, laddove domina il gossip

Twitter è senza dubbio il social più divertente ed interessante da studiare: esso è quello che può contare sul flusso di informazioni più grande e privo di limitazioni  per via del numero di utenti attivi di diversa tipologia. Scorrendo le tendenze si intuisce immediatamente che per un ragazzo di 17 anni rimanere informato grazie a questo social non sarà facile.

Nel corso di una settimana di osservazione di tendenze italiane e timeline la notizia più ricorrente, attraverso keywords differenti è stata la vittoria della Roma sul Barcellona: sono stati scambiati migliaia di tweet di congratulazioni di ogni tipo, accompagnati spesso da meme prodotti al momento e basati sulla rivisitazione comica delle immagini dei protagonisti. Il sentimento diffuso è stato la gioia a prescindere dalla squadra tifata.

Anche l’attacco in Siria ha trovato il giusto spazio, principalmente attraverso la diffusione di fonti internazionali e commenti sull’attacco in generale, sui morti e su come la Siria sia stata martirizzata negli ultimi mesi e completamente ignorata. A sorpresa anche la trasmissione “Uomini e donne” con i suoi protagonisti si è rivelata tra i temi più discussi dalle persone: non di rado in tendenza sono entrati i singoli tronisti e corteggiatori.

Agli italiani piace il gossip e questo ne rappresenta la dimostrazione palese. Seguita dalla musica, con un hashtag dedicato agli One Direction ed ad una possibile reunion del gruppo, Beyoncé e la sua partecipazione al festival del Coachella e da tanto sport: Formula uno (con Vettel e Ricciardo) e Formula E grazie all’evento tenutosi a Roma sono state le manifestazioni più discusse insieme ad alcuni match calcistici di serie A come Lazio-Roma /Juve- Samp / Milan-Napoli. Silvio Berlusconi e Donald Trump hanno spesso nel corso della settimana superato l’attenzione degli utenti per ciò che concerne rispettivamente la politica interna e nazionale.

La copertura di gossip che non è mai mancata ha invece riguardato Khloe Kardashian ed il suo clan: il tradimento del fidanzato e la nascita della figlia l’hanno portata ad essere onnipresente.

La ragione di questo trend e quindi della tipologia di notizie che un potenziale utente si troverà ad incontrare è dettato dall’interesse del momento di coloro che sono collegati e twittano. Un giovane che decidesse di utilizzare Twitter come unica fonte di notizie per una settimana si troverebbe ad essere preparato su spettacolo, gossip, calcio e sport senza riuscire a raccogliere molte informazioni, a meno di una ricerca personale più capillare, sui principali avvenimenti di cronaca internazionale.

Anche per ciò che riguarda la politica italiana l’informazione sarebbe minimal, spiccando tra le tendenze solo il nome di Silvio Berlusconi e non sempre collegato ad esaustivi articoli in merito alla sua influenza nelle cronache politiche attuali.

Il punto è che per quanto spesso presenti tra le tendenze, i fatti di cronaca internazionale e nazionale non riescono mai a “durare” molto all’interno dell’elenco delle stesse, subito sorpassati dalla notizia di gossip o di cultura.

Un ragazzo che utilizzasse solo Twitter come fonte di informazione si troverebbe a sapere dell’attuale crisi in Siria, poco e niente dell’attuale situazione politica italiana, i risultati di tutte le partite di Calcio, le corse di Formula Uno e Formula E. Per completezza di informazione reale il voto di Twitter come fonte di informazione è un 6: il suo comportamento è paragonabile a quello di un settimanale, pronto sì ad accennare a fatti importanti ma più che altro focalizzato sul settore leggero d’informazione.

Prima di chiudere il discorso Twitter e ribadire che sia considerabile appena sufficente per mantenere informato un giovane, è importante comprendere che i risultati in questo caso sono inficiati in modo sensibile dalla quantità di tweet prodotti dai diversi fandom (persone fan di uno specifico sport/musica/personaggio/film ecc) e dalla loro persistenza in tendenza grazie all’utilizzo estremo di hashtag da parte degli utenti.

Instagram: un flusso di immagini fuori dal mondo

Instagram, come social network atto a informare un giovane ragazzo, rappresenta il fanalino di coda di questa ideale classifica. Per sua stessa struttura è molto limitato dato che nella timeline vengono mostrati video e foto, in ordine di rilevanza, relativi alle persone che si seguono. E’ impossibile mantenere informato un giovane adolescente attraverso questo social media.

Ecco quindi che i consigli di make up da parte dei vari guru del settore rappresentano i post più ricorrenti, sia attraverso immagini di prodotti che grazie a veri e propri tutorial da seguire. Broadway ed i suoi spettacoli, con i dietro le quinte rappresentano una sorta di rivista flash di spettacolo e costume, accompagnati dalle foto e dai video riguardanti la loro vita privata ed il lavoro che attori come Laura Benanti, Darren Criss e Chris Colfer hanno pubblicato.

Altrettanto presenti in quantità sono state le composizioni artistiche di piatti di sushi provenienti da ogni parte del mondo, foto e video della vittoria della Roma contro il Barcellona e immagini e clip provenienti dal Festival del Coachella, dove Beyoncé è stata padrona indiscussa.

Ovviamente il feed in questo caso è stato dettato da quelli che erano gli account seguiti da quello usato per la valutazione. Questo non toglie che, sebbene più per casualità che per altro, temi di grande copertura mediatica come il Coachella e la Vittoria della Roma sul Barcellona abbiano influenzato anche questi risultati. Instagram si rivela quindi molto limitato nelle sue capacità di tenere informato un giovane senza fonti di informazione alternativa. Navigando tra gli hashtag la situazione migliora, ma non di molto: l’utente deve comunque impegnarsi in una ricerca capillare in grado di dare pochi frutti.

Una settimana di osservazione di Instagram porta a comprendere quanto i social network ed i loro algoritmi siano in grado di carpire quali siano, in base alle ricerche eseguite, i temi che possono più interessare un utente e di come gli stessi siano in grado utilizzare le informazioni raccolte per condividere con lo stesso specifici contenuti: motivo per il quale Instagram deve essere bocciato come fonte primaria di notizie.

Social Media vs Realtà: ecco cosa ci saremmo persi

La copertura reale dell’informazione ovviamente non è la stessa dei social network per quanto vi siano dei punti di contatto e le similiarità maggiori possono essere riscontrate nelle notizie di sport e di spettacolo: la copertura è pressoché la stessa. Talvolta i social media mostrano una maggiore completezza e per questo causano di conseguenza un maggiore coinvolgimento nei lettori.

Per ciò che riguarda la vittoria della Roma sul Barcellona la copertura mediatica tradizionale è stata tanto importante quanto quella dei social, con meno commenti da parte degli utenti ma dello stesso tenore: tutti sono stati orgogliosi del risultato della squadra. Importante, in questo caso, la presenza di molte gallerie di immagini e video.

La copertura dei giornali tradizionali per ciò che concerne l’attacco in Siria è stata senza dubbio più completa rispetto a quella social grazie alla presenza di inchieste e articoli di vario taglio che hanno dato maggiore completezza all’informazione. I commenti sui media sono stati dello stesso tenore di quelli social: tanta preoccupazione e chiamata in causa delle basi americane in Italia. Non sono mancate gallerie di immagini in grado di colpire il lettore.

Per ciò che concerne le consultazioni elettorali e Berlusconi, il vero punto di incontro tra social e media tradizionali è riscontrabile nei commenti: insofferenza per il politico nello specifico e per la situazione sono i sentimenti più diffusi. La copertura informativa in questo caso è molto più ampia rispetto ai social media. Mentre per quanto riguarda il festival del Coachella, il focus è stato su Beyoncé anche sui media tradizionali, essendo l’artista il nome di punta della manifestazione. La copertura è stata minore rispetto a quella dei social network ma sempre importante, soprattutto grazie ad immagini e video.

E se lo sport, a prescindere dai protagonisti, è sempre presente in ogni singolo social media sfogliato, tanto quanto il gossip, notizie di costume come quelle dell’aurora boreale o della crescente vendita dei sex toys passano inosservate nell’informazione tradizionale.

Ovviamente i social media, come spiegato in precedenza, non regalano una copertura mediatica completa: gli ultimi aggiornamenti relativi alla crisi di Alitalia e la sua vendita sono risultati completamente assenti, così come la vicenda Vivendi-Telecom, nemmeno accennata ed invece ampiamente coperta dai giornali e dai telegiornali tradizionali. Ed ancora, ad esempio, le manifestazioni in Ungheria contro le elezioni truccate di Orban, notizia che ha trovato molto spazio nei media “classici”, così come l’addio a Vittorio Taviani, maestro di cinema. Tutto ciò che non era considerabile mainstream, è possibile notare, è rimasto fuori dal web.

Cosa indica tutto ciò? Senza ombra di dubbio che una copertura classica sia necessaria ad un ragazzo per rimanere informato ma che, al contempo, una maggiore completezza generale dell’informazione sia raggiungibile unendo le due fonti.

Il prossimo 25 maggio entrerà in vigore anche in Italia il GDPR, il nuovo regolamento della privacy così come richiesto dalla Comunità Europea: aziende e pubbliche amministrazioni sono costrette, entro quel termine, ad adeguarsi e recepire il Regolamento (UE) 2016/679.

Una delle figure centrali di questi cambiamenti è il DPO, o Data Protection Officer, una figura designata dal titolare o dal responsabile al trattamento dati, che deve formare e informare i collaboratori di una azienda sul regolamento GDPR e sulle norme da seguire. La sua figura è quella che crea più perplessità alle aziende: si tratta di una figura obbligatoria? E quali sono i suoi compiti?

Vuoi adeguare la tua azienda e il tuo sito alla GDPR? Chiedi senza impegno ai nostri esperti di normative europee

Il DPO, per ciò che concerne l’Italia, è una figura nuova nell’ambito del trattamento dei dati: fino a questo momento non era richiesto né alle aziende né alle pubbliche amministrazioni di selezionare del personale che si occupasse di verificare che tutto ciò relativo alla privacy occorresse seguendo le normative vigenti. Una differenza molto sensibile rispetto a quello che accade in buona parte degli altri Stati membri e della Germania: il suo responsabile per la protezione dei dati è stato infatti preso ad esempio e modificato per dare vita all’esperto richiesto dalla Comunità Europea.

Il Data Protection Officer o DPO: quando è obbligatorio e cosa deve sapere fare

Sebbene il regolamento indichi in quali casi il Dpo debba essere ritenuto obbligatorio o meno molte aziende faticano a comprendere quale sia il loro ruolo in tal senso: ragione per la quale è necessario fare chiarezza.

La figura del Dpo è obbligatoria da regolamento per:

• Enti pubblici
• Aziende private dove si richieda il “monitoraggio sistematico su larga scala″
• Aziende private dove avviene il “trattamento, su larga scala, di informazioni sensibili o di dati relativi a condanne penali e a reati″.

Per ciò che riguarda le pubbliche amministrazioni essa deve essere nominata e sfruttata per verificare che i processi in atto nella stessa seguano il GDPR, pena sanzioni anche gravi. Essa deve essere istituita poi, come anticipato, dalle aziende che lavorano su grandi quantità di dati sensibili di utenti e che eseguono monitoraggio degli stessi su larga scala. Non è stato precisato esattamente che cosa venga inteso con “vasta scala”, ma in linea generale, aziende che trattano dati dal livello regionale in su, possono ritenersi coinvolte.

Allo stesso modo, sono obbligate ad avere un DPO anche aziende che maneggiano tipologie di dati particolari, che sono: razza, opinioni politiche, orientamenti religiosi o filosofici, dati biometrici, dati sulla salute, tendenze e informazioni sessuali, o informazioni relative alla legge.

Vuoi adeguare la tua azienda al GDPR? Adeguamento completo chiavi in mano svolto dai nostri esperti.
Chiedi gratuitamente un piano completo

Un esempio di obbligatorietà della presenza di questa figura? E’ data da banche ed assicurazioni: la tipologia di clientela ed i loro dati sensibili rendono necessaria una risorsa in grado di controllare che tutto venga svolto secondo i dettami europei.

Prima del 2012 e negli anni precedenti alla preparazione del nuovo regolamento entrato in vigore nel 2016, i parametri sui quali si basava la necessità del Dpo erano essenzialmente il numero di dipendenti della società ed il numero di clienti interessati: il nuovo Regolamento sulla Privacy ha eliminato questo approccio, spesso troppo insicuro e non risolutivo, dando spazio ad una struttura meglio definita. Un percorso in qualche modo però ancora incompleto e già ora sottoposto a diverse correzioni, attraverso circolari dedicate ed i consigli del Gruppo europeo dei Garanti ex art. 29 il quale ha composto delle linee guida dedicate rispondendo ai principali quesiti che le aziende si pongono in base o meno all’obbligatorietà di nomina della figura e del suo ruolo.

Se le aziende ritengono di non avere l’obbligo di nominare un data protection officer devono essere in grado di poterlo dimostrare legalmente attraverso la presentazione di documentazione dedicata. In alternativa sono tenute a nominare un DPO e a comunicare il suo nome al Garante per la Privacy.

Come nominare la figura del DPO

Una volta stabilità l’obbligatorietà della nomina del Dpo è importante comprendere come regolarsi per la sua scelta: diverse tipologie di aziende richiederanno una selezione diversa sia nella preparazione generale che nella gestione dei dati. Ciò che non bisogna mai dimenticare è che il Dpo è un supervisore indipendente e che come tale deve eseguire il suo compito, senza pressioni o possibili conflitti di interessi.

Sebbene il data protection officer possa essere una singola persona all’interno dell’azienda, il regolamento permette di nominare anche una persona esterna, o una intera impresa esterna facente funzioni di DPO. Ciò che è importante è che gli incaricati sia in grado di agire indipendentemente nel controllo del trattamento dei dati senza subire pressioni da parte del responsabile e del titolare. E’ quindi bene accetta la creazione di modelli organizzativi che comprendano una figura principale che gestisce uffici dedicati, soprattutto per grandi aziende dalle diverse responsabilità.

Per ciò che concerne i suoi titoli, il Regolamento (UE) 2016/679 non è entrato nel merito, nel tentativo di non limitare la scelta da parte delle aziende di una figura preparata nel proprio settore di appartenenza e per evitare il più possibile che un potenziale conflitto di interessi portasse ad uno sfruttamento illecito di tale figura: in Germania è già accaduto che un Dpo interno si trovasse a dover controllare il proprio lavoro in impresa.

E’ importante comunque che il DPO conosca alla perfezione non solo il Regolamento Europeo GDPR ma anche le principali norme che regolano la privacy anche a livello internazionale e che sia in grado di mantenere un comportamento proattivo, che mira a stabilire delle regole generali, e che sia in contatto con il Garante.

Cosa deve fare un buon DPO?

La figura del data protection officer necessita di chiarimenti anche per ciò che concerne i compiti di cui la stessa dovrà occuparsi. Essi possono essere essenzialmente spiegati in quattro punti ben precisi:

• consigliare ed informare le imprese ed i loro dipendenti sugli obblighi legati al GDPR ed alla normativa nazionale
• sorvegliare che il GDPR venga osservato e controllare le politiche interne di data protection, comprese la sensibilizzazione e la formazione del personale e l’attribuzione delle responsabilità
• fornire quando richiesto un parere sulle modalità di protezione dei dati e osservare la sua messa in atto
• cooperare con le autorità di controllo e funzionare da tramite per dare modo a queste di poter avere un accesso facilitato ai documenti ed alle informazioni necessarie sia per lo svolgimento del suo lavoro che ai fini di indagine.

In tal senso l’azienda deve collaborare completamente e in ogni momento, dando al proprio Dpo l’accesso anche a riunioni in corso in alti livelli manageriali: la risorsa deve poter essere informata di ciò che accade strutturalmente e deve essere in grado di condurre senza intoppi quello che è il suo compito di controllo e consulenza.

Per portare avanti i suoi compiti correttamente, il DPO dovrà controllare che tutta la documentazione aziendale sia in linea con il Regolamento Europeo ed apportare modifiche dove necessario: Ed attraverso lo studio di questionari dedicati ed interviste mirate con i dipendenti, dovrà essere in grado di valutare al meglio la situazione e proporre interventi al management in grado di rendere la società interessata in linea con le norme vigenti.

La responsabilità del DPO in azienda

Per ciò che riguarda le sue responsabilità il Dpo deve rispondere solo di quelle che possono essere potenzialmente le sue mancanze a livello contrattuale, come dipendente se eletto internamente e come collaboratore se selezionato all’esterno dell’azienda.

Dell’inadeguato trattamento dei dati è responsabile il titolare degli stessi: ciò che è basilare per le imprese comprendere è che il Dpo è una figura di supporto chiamata a controllare che le procedure funzionino secondo il GDPR ed i regolamenti statali ancora attivi e non un capro espiatorio in caso di problematiche. Le decisioni in materia di trattamento dei dati ed eventuali violazioni ricadono tutte e completamente sull’azienda stessa.

L’altro giorno ho provato a postare sul mio account Facebook una considerazione.

Ho parlato dello scandalo di Cambridge Analytica, cioè della scoperta che il piccolo tastino che consente di entrare in vari servizi online attraverso il proprio account social, per risparmiare tempo, girava verso terzi una quantità spaventosa di dati personali. In maniera certamente aggressiva, tanto che a Palo Alto si sono affrettati a rassicurare gli utenti e a “tirarsi fuori”.

Ho spiegato alle mie cerchie di amici, che in realtà era abbastanza ovvio che a fronte di un servizio gratuito si commerciassero i dati, e che esiste un altro giochino che sta facendo incetta di informazioni. Sono quei piccoli sondaggi: “Quali amici ti vorrebbero sposare?”; “Chi ti vuole baciare?” da ricondividere sulla propria bacheca. Un giorno faranno finta di accorgersene per caso, con un buon accompagnamento di indignazione, ma il mercimonio di informazioni personali è attivo più che mai.

Quello che mi ha stupito, sono state le risposte: “Che se li tengano i miei dati. Se vogliono anche le foto di quello che mangio, facciano pure”. O ancora: “Dei nostri dati sicuramente non se ne fanno niente, li possono usare solo come soprammobili a raccogliere polvere”.

Quindi, nessuno se ne importa.

In realtà avrebbero anche ragione: Facebook è un servizio enorme, gigantesco, ed è anche giusto che con i nostri dati, che se ci vengono prelevati nessuno muore, diventino miliardari.

Ma il punto è: il rischio è veramente zero?

Assolutamente no, il rischio c’è, eccome.

Ognuno inscatolato nel suo mondo

Il problema sta nella combinazione di due elementi.

Il primo è la quantità, qualità e coerenza dei dati personali. Non sanno solamente chi siamo, ma sanno cosa pensiamo, cosa ci piace e non ci piace, a quali eventi partecipiamo, su cosa siamo d’accordo e su cosa litighiamo. A che orientamento politico apparteniamo, chi sosteniamo e chi critichiamo. Sono come un amico, o un familiare che conosce molto bene i nostri gusti.

Il secondo elemento è: Facebook può farci vedere quello che vuole. Può indirizzare gli argomenti della nostra bacheca, filtrare quello che dicono gli amici, collegarci e suggerirci gruppi di discussione. Può farci vedere solamente una parte della realtà.

Voi direte: ma mica mi faccio influenzare. Io vado a controllare anche fuori da Facebook.
Sarà, ma dal momento che esiste il fenomeno delle fake news, e che oltre il 90% di queste potrebbero essere scoperte solamente facendo una ricerca all’esterno di Facebook, evidentemente la stragrande maggioranza della gente non esce dal social.

Nessuno ha voglia di controllare, di verificare. Le informazioni giungono rapidamente, corredate da commenti con cui siamo d’accordo o in disaccordo, vogliamo partecipare subito alla discussione.

Non possiamo e non vogliamo controllare. Vogliamo esserci, quello è l’importante.

Per cui, se uniamo la profilazione dei nostri gusti, al filtraggio delle informazioni, esce fuori la possibilità di creare un mondo personalizzato e condizionato per spingerci ad aderire a qualcosa, ad una idea, ad una causa. Su Facebook tutti adorano sostenere delle cause.

Un esempio su me stesso: sono appassionato di storia dell’antica Roma. Facebook, vogliamo credere in modo del tutto ignaro, mi ha suggerito molto spesso dei gruppi di revisione storica, di riconsiderazione del fascismo, de “la storia la scrivono i vincitori”. Ho conosciuto persone a me affini che erano neofasciste convinte.

Se non avessi anni di studio alle spalle, probabilmente ora riterrei che il fascismo è il movimento politico più simile all’Impero Romano.

Questo è il vero pericolo: più dei dati, delle pubblicità mirate, delle catene di Sant’Antonio.
Essere in grado di fare la cosa più potente al mondo.

Inculcare delle opinioni, facendo credere alla gente che siano idee loro.

Diciamoci la verità: le aziende hanno sempre dato al trattamento dei dati e alla “protezione” dei dati una priorità molto bassa, perché si accorgono molto bene dei costi ma non percepiscono subito i vantaggi. Ma a cambiare la situazione sono giunti i regolamenti europei (il GDPR) che hanno promesso delle multe salatissime contro il responsabile del trattamento dei dati.

Le imprese, stavolta attente, per non dire spaventate, come non mai, vogliono sapere come gestire, trattare e proteggere i dati personali per evitare pesantissime punizioni. La nostra guida sul trattamento dei dati e sulla loro protezione in ambito aziendale ha esattamente questo scopo: insegnarvi, rapidamente e anche se non siete esperti, a mettervi in regola per evitare multe.

Anche se sono insegnamenti teorici è importantissimo che partiate con il piede giusto capendo che cos’è un dato personale.

Si tratta di una informazione relativa ad una persona.

Un tempo, nel 1995, agli albori di questo tipo di regolamenti, il dato personale era considerato il nome e il cognome, l’indirizzo di residenza o l’indirizzo mail. Dal 2016 in poi si considerano dati personali anche elementi tecnici come l’indirizzo IP del proprio computer o il MAC address che identifica uno smartphone.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Come salvarti dalle multe del GDPR: impara come si classificano i dati personali

Il dato personale quindi è qualsiasi cosa, anche un numero digitale, che permette di identificare una persona.

Esistono quattro tipi di dati personali, che il GDPR considera nel trattamento dei dati. I dati Provided, Observed, Derived e Inferred.

I dati Provided – E’ la forma più semplice. Si tratta di dati forniti consapevolmente dall’utente. Un cliente nel vostro e-commerce compra un prodotto e scrive i suoi dati personali per completare l’ordine. E’ un esempio di dato “Provided“.

I dati “Observed” – Si tratta di una situazione in cui il titolare di una attività utilizza degli strumenti, come Google Analytics, Piwik o altri software simili, per raccogliere dati degli utenti sul suo sito. Per esempio l’indirizzo Ip, la loro provenienza geografica, le pagine che hanno visto, che browser hanno usato.

E’ una raccolta di dati personali fatta autonomamente dal titolare che l’utente in un certo senso “subisce”. Per questo è stato inventato il foglio del trattamento dati, che tutti i siti devono inserire all’interno delle loro pagine legali. Questi sono i dati “Observed”.

I dati “Derived” – In questo caso si prendono dei dati appartenenti a degli utenti, si analizzano, e da questa analisi si deducono o calcolano altri dati. Ad esempio, se in un sito di e-commerce vediamo le abitudini di acquisto dei nostri utenti, i prodotti che comprano e i prezzi che pagano, ne deriviamo delle ragionevoli fasce di reddito. Capiamo quindi che il 20% dei nostri utenti ha un reddito medio alto. Questo è un esempio di dato derivato.

I dati “Inferred”- Qui abbiamo dei dati aggregati che vengono analizzati e sui quali si fanno delle previsioni statistiche.

Ad esempio studiamo l’età, il numero di incidenti e di multe prese da un guidatore per stabilire il suo rischio stradale, sulla base del quale fargli una polizza assicurativa. Questo è un esempio di dato “Inferred”. Questi dati sono quelli più aleatori, perché si tratta di informazioni calcolate.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Una considerazione originale, è che di tutti questi dati, quelli che potrebbero sembrare più importanti sono quelli economici, come per esempio il PIN di una carta di credito, il numero di conto corrente, o un IBAN.

In realtà è vero che sono legati al denaro, ma sono dati modificabili. Invece i nostri gusti, le nostre abitudini di navigazione e addirittura i dati biometrici di uno Smartwatch o di un’applicazione per la ginnastica, sono molto più preziosi perché completamente o molto difficilmente modificabili.

I soggetti e i responsabili del trattamento dati

Le persone che devono trattare i dati vengono definite in maniera precisa dalla normativa GDPR.

Il primo è il titolare del trattamento. E’ la persona che deve decidere come si trattano i dati, che ha il compito di controllare che le norme vengano rispettate e vigilare che sulla protezione dei dati. Non è necessariamente un esperto che deve entrare nel merito tecnico della questione, ma è quello che decide la politica aziendale sul trattamento dei dati.

Il titolare, attraverso una nomina scritta, un contratto o un altro atto con valore giuridico, deve nominare un responsabile del trattamento dei dati. Questa seconda persona di norma è quella che ha le competenze tecniche per gestire le informazioni e sceglie anche i programmi o i servizi da usare.

Una novità introdotta dal GDPR europeo, la nuova normativa che aggiorna in maniera importante le regole UE, introduce per la prima volta la figura di uno o più sub-responsabili al trattamento, nominati dal responsabile, anche in questo caso tramite un documento ufficiale.

Come organizzare un trattamento dei dati che piaccia alla legge

Ora che abbiamo capito cosa sono i dati personali e chi li deve gestire, impariamo come definire una procedura di trattamento delle informazioni.

Il primo elemento da cui partire è un’analisi della natura dei dati e del contesto aziendale, assieme alle finalità di questo trattamento.

Ad esempio un’azienda che conserva i dati dei clienti da richiamare per vendere dei mobili, avrà dei dati di una natura e con una finalità diversa rispetto ad un portale di affiliazione che vuole rivendere i dati ad aziende terze o che fa pubblicità mirata.

Quindi dovete stabilire quali dati avete, e a cosa vi servono.

Stabilito questo, potrete definire nel concreto la procedura del trattamento dei dati.

Questo trattamento consta di una serie di fasi identificabili che sono:

• la raccolta
• la registrazione
• l’organizzazione
• la strutturazione
• la conservazione
• la modifica
• l’estrazione
• l’uso
• la comunicazione a terzi
• il raffronto
• la limitazione
• la cancellazione.

Dovrete quindi fare un lavoro interno all’azienda, per arrivare a stabilire esattamente ognuno di questi punti, come viene fatto, da chi e con quali servizi. Quando avrete chiaro come si svolge questo processo, con quali strumenti tecnici lo farete, con quali software e con quali tempi, avrete definito la vostra modalità di trattamento dei dati.

Non possiamo dirvi a priori qual è la procedura migliore, ma se volete essere il più certi possibile che la vostra modalità di trattamento dei dati sia gradita dal regolamento, potete seguire quattro principi sulla protezione dei dati che vi mettono al sicuro.

Minimizzazione – Per minimizzazione si intende la raccolta dei dati strettamente necessari allo scopo che avete. Evitate di raccogliere più dati di quelli che vi servono: già questo è un buon punto di partenza.

Pseudonimizzazione – Si tratta di un processo in cui i dati strettamente personali di un utente vengono separati da quelli utili a comprendere il suo comportamento.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Per esempio, se degli utenti del vostro e-commerce ignorate le vie dove abitano o il loro indirizzo IP, ma guardate semplicemente che cosa hanno acquistato nel tempo, state pseudonimizzando i dati.

La legge del GDPR non considera questi dati come “anonimi” perché mettendoci un po’ di buona volontà si possono “ricollegare” i dati all’identità. Però più tempo ci vuole per riunire e ricostruire i dati, e più i dati sono pseudonimizzati. E tanto più riuscite ad operare questa pseudonimizzazione, tanto più vi avvicinate alle norme.

Cifratura – La cifratura dei dati, operazione che rende i dati personali illeggibili al di fuori della vostra azienda, è una soluzione fantastica. Perché secondo la legge, in caso di violazione o furto dei dati, se questi sono cifrati, l’azienda non è tenuta ad informare gli interessati. E questo può risparmiarvi un grande lavoro e un danno di immagine notevole.

Anonimizzazione – Anonimizzare i dati significa prelevare degli elementi a voi utili ma scollegarli completamente e in maniera definitiva dalle informazioni personali.

In questo caso non è più possibile risalire, in nessun modo alla identità.  E il bello è che se i vostri dati sono anonimi, e le persone non sono più identificabili, le norme in materia di protezione dei dati non sono più applicabili.

Riassumendo, quanto più prelevate i dati strettamente necessari a quello che vi serve, quanto più questi sono separati dalle identità, cifrati o addirittura anonimi, tanto meno come responsabili del trattamento dei dati, correrete rischi di violare la normativa.

Un punto importante: la gestione del rischio

Fino a questo punto, abbiamo spiegato come elaborare un trattamento dei dati quanto più sicuro dalle multe.

Ma il legislatore del GDPR ha scritto la normativa con una finalità ben precisa.

Vuole che le aziende si rendano conto che trattare i dati comporta dei rischi e che i titolari siano attivi nella protezione dei dati. Per questo motivo, ad un trattamento adeguato dovete aggiungere la consapevolezza del rischio e dei metodi per prevenirli.

L’azienda normalmente considera rischioso tutto quello che blocca la sua attività e il suo guadagno, ma la legge, in un senso più ampio, considera il rischio qualcosa di più attinente alla violazione del diritto e della libertà del cittadino.

I rischi principali relativi ai dati sono:

• la distruzione
• la perdita
• la divulgazione non autorizzata
• l’accesso accidentale o illegale da parte di persone non previste

Se volete essere sicuri di considerare i rischi in maniera adeguata potete fare riferimento ad un elenco che viene fuori spulciando la legge.

Il registro dei trattamenti – Innanzitutto dovete tenere un registro dei trattamenti, cioè dovete tenere traccia di come i dati sono stati trattati e gestiti nell’azienda.

Il DPO – Dovete nominare un DPO, Data Protection Officer, una persona specifica che si occupa solo della protezione dei dati, anche questa va nominata con un atto scritto.

Formazione del personale – E’ inutile che in azienda ci sia un solo esperto di questo argomento, e una pletora di dipendenti completamente ignari delle regole di sicurezza. Quindi investite qualche ora per formare il personale e soprattutto rendetelo dimostrabile con un attestato, o una certificazione di qualche azienda esterna.

All’interno di una legge collegata con il GDPR c’è anche un interessante elenco di adempimenti per la gestione del rischio che dovreste seguire per essere ragionevolmente sicuri di non poter essere multati.

• Vietare alle persone non autorizzate l’accesso alle attrezzature utilizzate per il trattamento
• Impedire che i supporti di dati possono essere letti, copiati, modificati o asportati da persone non autorizzate
• Impedire che i dati personali siano inseriti senza autorizzazione
• Impedire che i dati personali conservati siano visionati, modificati o cancellati senza autorizzazione
• Impedire che persone non autorizzate utilizzino sistemi di trattamento automatizzato mediante attrezzature per la trasmissione di dati
• Garantire che le persone autorizzate a usare un sistema di trattamento automatizzato abbiano accesso solo ai dati personali cui si riferisce la loro autorizzazione
• Garantire la possibilità di verificare quali dati personali sono stati introdotti nei sistemi, il momento della loro introduzione e la persona che l’ha effettuata
• Impedire che i dati personali possono essere letti, copiati, modificati o cancellati in modo non autorizzato durante i trasferimenti di dati personali
• Garantire che in caso di interruzione, i sistemi utilizzati possano essere ripristinati
• Garantire che eventuali errori di funzionamento siano segnalati e che i dati personali conservati non possano essere falsati da un errore di funzionamento

Mettete alla prova il vostro trattamento dati

Come fate a sapere che il trattamento dei dati che avete organizzato e che le misure per la protezione dei dati siano adeguate? Dovete controllare che il risultato del vostro lavoro rispetti una serie di ideali che la legge considera importanti.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Riservatezza – I dati devono essere protetti. Avete delle soluzioni, dei programmi, dei software, anche online, che proteggano i dati?

Integrità – Durante il trattamento, i dati rimangono integri? si perde qualcosa? è possibile che nel trasferire un file Excel con i dati, magari cambiando nel formato, si perdano degli elementi?

Disponibilità –  La possibilità di accedere ai dati. Quanto è facile accedere ai dati? Se solamente il responsabile del trattamento dei dati è in grado di accedere alle informazioni, questi non sono molto disponibili. Se sono registrati su una pennetta USB e solo il titolare conosce la password, questi non sono ragionevolmente disponibili. Verificate che sia possibile raggiungere le informazioni in maniera abbastanza veloce.

Resilienza– La resilienza è la capacità di reagire ad eventi imprevisti. Immaginate un attacco hacker, un imprevisto in azienda o una richiesta massiccia di modifica dei dati. Sapete chi chiamare? siete organizzati? Quanto tempo ci mettete per rispondere ad un evento imprevisto?

Ripristino –  Immaginate che per qualche motivo i vostri dati vengano perduti. Avete una copia di backup? Esiste un modo di recuperarli? Se il computer su cui sono registrati esplode, avete perso tutto?

GDPR: il documento di previsione d’impatto, l’asso nella manica

Tutto questo importante lavoro aziendale non deve essere solo svolto ma deve essere anche registrato.

Dovete essere in grado di dimostrare tramite un documento che vi siete preoccupati del trattamento dei dati personali. Questo documento si chiama “Valutazione di impatto”

La legge prevede che si scriva questo report nel caso in cui si introducano delle nuove tecnologie in azienda, se si fa una profilazione particolarmente invasiva degli utenti, o se si raccolgono dati su vasta scala, ma noi vi suggeriamo di preparare comunque una valutazione di impatto.

Serve a dimostrare che avete pensato ad una strategia per fare bene le cose. E può esservi molto utile in caso di contestazione. All’interno di questo documento bisogna inserire

• Descrizione dei trattamenti previsti e delle finalità
• Valutazione dei rischi correlata alla realtà della vostra azienda
• Misure di sicurezza previste

Tenete il documento aggiornato, sarà un asso della manica che potrete esibire per dimostrare la vostra buona fede nella protezione dei dati.

Il trattamento dati con il GDPR. E se le cose vanno male?

Nonostante tutti i vostri sforzi può essere che si verifichi una violazione dei dati. Uno di questi casi è il data breach. Ovvero quando un hacker buca il vostro sito e riesce ad accedere ai dati dei vostri clienti o ad altre informazioni sensibili.

In questo caso non vi venga minimamente in mente di tenere la cosa riservata: è estremamente rischioso. La legge prevede che entro 72 ore, notifichiate al Garante della privacy l’esistenza di un data breach nei vostri confronti.

In realtà la legge non ha ancora spiegato nei dettagli come bisogna fare questa comunicazione. E’ altamente probabile che il Garante si pronuncerà. Ma nel frattempo, registrate in ogni modo la volontà di comunicare al Garante il fatto.

Registrate le mail che gli spedite, inviategli il documento con la valutazione di impatto, registrate le telefonate che fate. Cercate di testimoniare la vostra piena volontà di rispettare la legge e comunicare la violazione dei dati personali.

Ovviamente la violazione dei dati comporta delle responsabilità. Concludiamo la nostra guida con il concetto di “Accountability”. Un termine inglese, inserito all’interno del GDPR, che sta ad indicare la responsabilità, e anche la punibilità di coloro che non si adeguano.

Le responsabilità. Chi finisce nei guai e quando?

Semplificando di molto la legge: il titolare del trattamento dei dati finisce nei guai se non ha mai previsto delle misure di protezione, non ha mai nominato un responsabile e se non è in grado di dimostrare la sua volontà di seguire la norma con dei documenti. In questo caso, risponde in proporzione al danno causato, che viene quantificato dal Garante.

Il responsabile del trattamento dei dati va nei guai nel momento in cui o non ha seguito le regole che sono stabilite dal titolare o se le ha seguite in maniera diversa da quanto scritto.

In alcuni casi, il titolare, il responsabile e i subresponsabili possono andare nei guai contemporaneamente se il titolare ha dato istruzioni insufficienti, il responsabile le ha attuate male e le ha fatte attuare in maniera insufficiente anche ai suoi subresponsabili.

In questo caso, sono tutti punibili in maniera uguale e compartecipano al risarcimento del danno, sempre stabilito dal Garante.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI